Externer Netzwerk-Pentest
In der heutigen, schnelllebigen digitalen Welt ist die Sicherheit Ihrer über das Internet erreichbaren Systeme und Netzwerke nicht nur eine Notwendigkeit, sondern eine Voraussetzung für den Fortbestand Ihres Unternehmens bzw. Ihrer Organisation. Externe Penetrationstests, kurz Pentests, simulieren einen echten Cyberangriff von außen auf diese Ziele, um potenzielle Angriffsvektoren zu identifizieren und zu beheben, bevor echte Angreifer sie ausnutzen können.
Warum sind externe Netzwerk-Pentests wichtig?
Jedes System, das Netzwerkdienste nach außen exponiert, ist ständigen Angriffen ausgesetzt. Automatisierte Tools – sogenannte Bots – durchkämmen fortwährend das globale Internet und suchen nach lohnenswerten oder einfachen Angriffszielen. Sobald diese Tools einen „Treffer“ landen, versuchen sie entweder, selbst die gefundene Schwachstelle auszunutzen, um unautorisierten Zugang zu erlangen, oder sie melden die entdeckte Lücke an ihre „Auftraggeber“ weiter, die dann weitere, manuelle Angriffe durchführen.
Die regelmäßige Durchführung von externen Penetrationstests ist anerkannt und befürwortet durchführende Institutionen wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI), da sie eine entscheidende Rolle beim Schutz von Unternehmen vor potenziellen Cyberbedrohungen spielen. Die Tests bieten eine objektive Bewertung der Sicherheitslage Ihres Unternehmens, indem sie die Perspektive eines Außenstehenden einnehmen, um externe Schwachstellen und Sicherheitslücken aufzudecken, welche das erste Einfallstor für Cyberattacken darstellen.
So gehen wir bei einem Pentest vor
Unsere Pentests gliedern sich in der Regel in die folgenden fünf Phasen, die wir jedoch auch an Ihren individuellen Bedarf anpassen können. Eine Abschlusspräsentation erstellen wir auf Wunsch gerne für Sie, ebenso nehmen wir optional Nachtests vor. In jedem Fall erhalten Sie einen detaillierten und allgemein verständlichen Bericht mit einer Management-Summary sowie Empfehlungen zur Beseitigung der gefundenen Schwachstellen.
Kick-off
Durchführung
Dokumentation
Abschluss-
präsentation
Nachtests
Mehr über die einzelnen Schritte lesen Sie hier. Haben Sie bereits Fragen zum Thema Pentest, die Sie mit uns besprechen möchten? Unser Pentest-Team ist für Sie da, nehmen Sie Kontakt mit uns auf.
Durchführung eines externen Netzwerk-Pentests
Die Durchführung der externen Penetrationstests ist in drei Hauptphasen unterteilt und überprüft auch die äußeren Sicherheitsmaßnahmen Ihres Netzwerks, wie bspw. Firewalls und Intrusion Prevention Systeme (IPS).
Die erste Phase eines externen Pentests beginnt mit einem Portscan. Bei diesem Schritt werden die öffentlich zugänglichen IP-Adressen des Zielnetzwerks gescannt, um offene TCP- und UDP-Ports sowie die darauf laufenden Dienste zu identifizieren.
Danach geht der Test mit einem automatisierten Schwachstellenscan in die zweite Phase über. In dieser Phase werden spezialisierte Tools eingesetzt, um die gefundenen Dienste auf bekannte Schwachstellen zu überprüfen.
Die dritte und letzte Phase besteht aus manuellen Tests. In diesem Stadium nutzen die Sicherheitsexperten ihr Fachwissen und ihre Erfahrung, um über die automatisierten Scan-Ergebnisse hinausgehende Untersuchungen durchzuführen. Sie simulieren Angriffsszenarien, die speziell auf die identifizierten Schwachstellen abzielen, und testen die Wirksamkeit der Sicherheitsmaßnahmen des Unternehmens. Diese manuelle Überprüfung ist unerlässlich, da sie kontextbezogene Einsichten liefert, die durch automatisierte Tools allein oft nicht erfasst werden können. Dazu wird jeder Test sorgfältig an den individuellen Prüfgegenstand angepasst und um die notwendigen Prüfungen erweitert.
Prüfpunkte
Die geprüften Aspekte basieren dabei u. a. auf dem Praxis-Leitfaden für IS-Penetrationstests des BSI sowie auf über 20 Jahren Erfahrung auf dem Gebiet. Konkret umfassen die Prüfpunkte:
Veraltete Software
Analyse der identifizierten Dienste und Betriebssysteme in Hinblick auf veraltete Software mit bekannten Sicherheitslücken
Administrative Zugänge
Kontrolle der Erreichbarkeit von administrativen Zugängen bzw. Fernwartungszugängen ausgehend von unautorisierten Systemen
Kennwörter
Brute-Force-Angriffe auf Authentisierungsdienste zur Überprüfung auf Standardzugangsdaten oder triviale Kennwörter
Sensible Informationen
Gezielte Suche nach der Ausgabe von sensiblen Informationen
Verschlüsselung
Überprüfung der Verschlüsselung und der Angemessenheit der eingesetzten Verschlüsselungsverfahren
Zugriffskontrolle
Kontrolle, ob die identifizierten Dienste und Anwendungen eine adäquate Zugriffsbeschränkung aufweisen
Systemhärtung
Generelle Analyse der Systeme im Hinblick auf potenzielle Verbesserungspotentiale und Härtungseinstellungen
Um die höchste Qualität und Präzision in unseren Sicherheitstests zu gewährleisten, setzen wir bei unseren externen Pentests auf renommierte und bewährte Tools wie Nmap und Nessus Professional. Zusätzlich greifen wir auf anlassbezogene Tools zurück, die speziell für die Überprüfung bestimmter Dienste konzipiert sind und tiefergehende Untersuchungen in spezifischen Bereichen ermöglichen. Durch diese strategische Kombination von universellen und spezialisierten Werkzeugen stellen wir sicher, dass jede potenzielle Sicherheitslücke effektiv adressiert wird.
Ihr Ansprechpartner
Sie möchten einen externen Netzwerk-Pentest durchführen lassen und suchen einen qualifizierten Dienstleister? Wir stehen Ihnen mit unserer Erfahrung und Fachexpertise zur Verfügung. Kontaktieren Sie uns gerne telefonisch oder per E-Mail – wir freuen uns auf Ihre Anfrage!
Michael Cyl, M.Sc.
Leiter Informationssicherheit | Penetrationstests
E-Mail: mcyl@re-move-this.datenschutz-nord.de
Telefon: +49 421 69 66 32-319
Unsere Qualifikation als Pentester:
- Vorgehen nach anerkannten Standards (BSI IS-Pentest, BSI IS-Webcheck, OWASP uvm.)
- Qualifizierte Penetrationstester mit langjähriger Erfahrung
- Individualisierung aller Tests anhand der entsprechenden Prüfsituation
- Umfassende Projekterfahrung im Smart Meter Gateway-Bereich nach BSI TR-03109-1
- Unkomplizierte Prozesse und Transparenz zu jeder Zeit
- Fokus auf Verbesserung der IT-Sicherheit des Auftraggebers
Des Weiteren sind wir ausgezeichnet als
- Offensive Security Certified Professional (OSCP)
- Certified Ethical Hacker (CEH)
- Offensive Security Wireless Professional (OSWP)
FAQ zum Thema Pentest
Black-Box-, Grey-Box- oder White-Box-Pentest: Wo liegen die Unterschiede?
Pentests unterscheiden sich nicht nur durch den Untersuchungsgegenstand (z. B. Netzwerk, App, API etc.), sondern auch durch das Ausgangsszenario. Wir erläutern den Unterschied zwischen Black-Box-, Grey-Box- und White-Box-Pentests.
Ein Black-Box-Pentest startet mit möglichst wenig Informationen und kommt daher einem realen Angriffsszenario am nächsten. Für diese Art von Pentest reicht oft eine IP-Adresse, eine URL oder auch nur ein Domain-Name.
Demgegenüber steht der White-Box-Pentest, welcher umfangreiche Informationen über den Prüfgegenstand offenlegt. Dabei kann es sich um Netzwerkdiagramme, Sicherheitskonzepte, Konfigurationen und auch Code-Ausschnitte handeln. Der White-Box-Test ermöglicht eine konkretere Planung der Prüfungen und Fokussierung auf sensible Systeme und Funktionen. Es besteht aber auch die Gefahr, dass die Objektivität des Testers eingeschränkt wird.
Um die Vorteile von Black-Box und White-Box zu vereinen, kann im Rahmen eines Grey-Box-Pentests zunächst mit einer Black-Box gestartet werden, um danach ggf. benötigte Informationen für einen effektiven Testverlauf auszutauschen. Auch wenn im Vorfeld Anmeldedaten für einen Dienst o. Ä. zur Verfügung gestellt werden, spricht man von einem Grey-Box-Szenario.
Auch interessant:
Kennen Sie schon unseren Blog?
Mit unserem Blog „datenschutz notizen“ informieren wir Kunden und Interessierte über aktuelle Themen in den Bereichen Datenschutz, Informationssicherheit und Compliance. Hier finden Sie unsere neuesten Beiträge über Informationssicherheit, Cybersicherheit und Pentests:
